Maîtriser la Conformité RGPD et AI Act : Une Approche Intégrée

Utilisez cette fiche pour documenter systématiquement chaque traitement de données personnelles dans votre organisation, essentielle pour le registre RGPD.

Nom du traitement : [Nom du traitement]
Département(s) / Service(s) concerné(s) : [Nom du ou des services]
Responsable du traitement (personne/service) : [Nom]
Finalité(s) du traitement : [Décrire clairement les objectifs légitimes du traitement]

Catégories de données traitées :
- Données d'identification (Nom, Prénom, adresse, email) : [Oui/Non]
- Données de connexion (IP, logs) : [Oui/Non]
- Données financières (RIB, numéro de carte) : [Oui/Non]
- Données de localisation : [Oui/Non]
- Données sensibles (santé, origine ethnique, opinions politiques) : [Oui/Non, Préciser si oui]
- Autres (préciser) : [Préciser]

Catégories de personnes concernées : [Ex : Clients, employés, prospects, visiteurs de site web]

Base(s) légale(s) du traitement (RGPD art. 6 & 9) :
- Consentement : [Oui/Non]
- Contrat : [Oui/Non]
- Obligation légale : [Oui/Non]
- Intérêt vital : [Oui/Non]
- Mission d'intérêt public : [Oui/Non]
- Intérêt légitime : [Oui/Non, Préciser lequel]

Destinataires des données :
- Internes : [Départements spécifiques, Ex : RH, Marketing, DAF]
- Externes (sous-traitants, partenaires, autorités) : [Nommer ou catégoriser, Ex : Fournisseur CRM, Hébergeur]

Transferts de données hors UE/EEE : [Oui/Non]
Si oui, quel cadre de transfert ? (Ex : Clauses Contractuelles Types, BCR, Décision d'adéquation) : [Préciser]

Durée de conservation des données : [Préciser la durée pour chaque catégorie de données ou pour la finalité principale, Ex : 3 ans après la fin de la relation commerciale]

Mesures de sécurité techniques et organisationnelles (principales) : [Ex : Chiffrement, pseudonymisation, gestion des accès, politique de mots de passe forts, audits de sécurité]

Nécessité d'une AIPD (Analyse d'Impact sur la Protection des Données) : [Oui/Non]
Si oui, date de réalisation / statut : [Date ou Statut]
Remarques additionnelles : [Toute information pertinente]

Cette checklist vous aide à déterminer si un système d'IA que vous utilisez ou développez est classifié comme "à haut risque" sous l'AI Act, déclenchant des obligations spécifiques.

Vérifiez les critères suivants pour votre système d'IA. Cochez "Oui" si le critère s'applique.
Un système d'IA est considéré à haut risque s'il remplit les conditions suivantes :

1. Est-il un composant de sécurité d'un produit ?
   - Produit soumis à des réglementations sectorielles de l'UE (listées à l'Annexe II de l'AI Act, ex: jouets, aéronautique, dispositifs médicaux) : [Oui/Non]
   - La défaillance de ce composant de sécurité met-elle en danger la santé, la sécurité ou les droits fondamentaux des personnes ? : [Oui/Non]

2. Est-il utilisé dans l'une des catégories à haut risque spécifiées à l'Annexe III de l'AI Act ?
   - Biométrie et identification à distance (sauf exceptions légales) : [Oui/Non]
   - Gestion et exploitation d'infrastructures critiques (eau, gaz, électricité, transport) : [Oui/Non]
   - Éducation et formation professionnelle (évaluation de l'accès, évaluation des résultats, surveillance des apprenants) : [Oui/Non]
   - Emploi, gestion des travailleurs et accès à l'emploi indépendant (recrutement, sélection, évaluation, promotion, résiliation de contrat) : [Oui/Non]
   - Accès et jouissance des services privés essentiels et services publics (évaluation de la solvabilité, octroi d'aide sociale, services d'urgence) : [Oui/Non]
   - Services répressifs (évaluation des risques, preuves médico-légales, prédiction de la criminalité, systèmes de gestion de la détention) : [Oui/Non]
   - Gestion des migrations, de l'asile et du contrôle aux frontières (évaluation de l'éligibilité, traitement des demandes, détection de documents) : [Oui/Non]
   - Administration de la justice et processus démocratiques (assistance à la recherche, analyse de décisions judiciaires, influence sur le vote) : [Oui/Non]

Conclusion :
- Si vous avez coché "Oui" à au moins une question sous le point 1 OU au moins une question sous le point 2, votre système d'IA est probablement classé "à haut risque".
- Si vous avez coché "Non" à toutes les questions, votre système d'IA n'est probablement pas "à haut risque" au sens de l'AI Act.
- Action recommandée si "Oui" : [Consulter les obligations spécifiques de l'AI Act pour les systèmes à haut risque, préparer une évaluation de conformité, envisager la certification.]
- Date de l'évaluation : [Date]
- Évaluateur : [Nom]

Ce guide pas à pas vous aide à réaliser une évaluation préliminaire rapide pour déterminer si un nouveau traitement de données nécessite une Analyse d'Impact sur la Protection des Données (AIPD) complète, conformément au RGPD.

Étape 1 : Identifiez les caractéristiques du traitement de données.
- Y a-t-il l'utilisation de nouvelles technologies ? [Oui/Non]
- Y a-t-il un traitement de données à grande échelle ? [Oui/Non]
- Y a-t-il un profilage à grande échelle ou des prises de décision automatisées ayant des effets juridiques ou significatifs sur les individus ? [Oui/Non]
- Y a-t-il un traitement de données sensibles (santé, origine ethnique, données biométriques, etc.) ou de données relatives à des condamnations pénales ? [Oui/Non]
- Y a-t-il une surveillance systématique de zones accessibles au public ? [Oui/Non]
- Y a-t-il une combinaison de jeux de données issues de sources différentes ? [Oui/Non]
- Y a-t-il une utilisation de données de personnes vulnérables (enfants, patients, employés) ? [Oui/Non]
- Y a-t-il un transfert de données hors de l'UE/EEE sans garanties adéquates ? [Oui/Non]

Étape 2 : Appliquez les critères de nécessité d'une AIPD (liste non exhaustive mais indicative).
Une AIPD est généralement requise si le traitement remplit au moins deux des critères suivants (selon les lignes directrices du G29/CEPD) :
1. Évaluation ou notation (profilage) : [Oui/Non]
2. Prise de décision automatisée avec effet juridique ou significatif similaire : [Oui/Non]
3. Surveillance systématique : [Oui/Non]
4. Données sensibles ou hautement personnelles : [Oui/Non]
5. Traitement de données à grande échelle : [Oui/Non]
6. Croisement de jeux de données : [Oui/Non]
7. Données concernant des personnes vulnérables : [Oui/Non]
8. Utilisation innovante ou application de nouvelles solutions technologiques : [Oui/Non]
9. Transfert de données en dehors de l'UE/EEE : [Oui/Non]
10. Empêchement d'exercer un droit ou l'usage d'un service/contrat : [Oui/Non]

Étape 3 : Décision et prochaines étapes.
- Si vous avez coché "Oui" à 2 critères ou plus de l'Étape 2, ou si le traitement implique clairement un risque élevé pour les droits et libertés des personnes : une AIPD est Fortement Recommandée ou Obligatoire.
  - Prochaine étape : Lancer le processus formel d'AIPD. Documenter le risque résiduel.
- Si le traitement ne semble pas présenter de risque élevé basé sur cette évaluation préliminaire : une AIPD n'est probablement pas requise.
  - Prochaine étape : Documenter cette évaluation préliminaire et la décision. Réévaluer si les circonstances changent.
- Nom du traitement évalué : [Nom du traitement]
- Date de l'évaluation : [Date]
- Décision : [AIPD requise / AIPD non requise]
- Motivations de la décision : [Décrire succinctement les raisons]
- Personne responsable : [Nom]

Utilisez ce modèle pour construire une feuille de route claire et cohérente, intégrant les exigences de conformité du RGPD et de l'AI Act au sein de votre organisation.

Nom du projet / Plan : [Plan de Conformité Intégrée RGPD & AI Act pour [Nom de l'Organisation]]
Date de création : [Date]
Version : [X.X]
Responsable du plan : [Nom, Rôle]

1. Vision et Objectifs Généraux
   - Vision : [Ex : Assurer une protection robuste des données personnelles et une utilisation éthique et responsable des systèmes d'IA, en anticipant les évolutions réglementaires.]
   - Objectifs SMART :
     - [Objectif 1, Ex : Cartographier 100% des systèmes d'IA à haut risque d'ici Q4 2024.]
     - [Objectif 2, Ex : Mettre à jour la politique de protection des données pour intégrer les principes de l'AI Act d'ici Q1 2025.]

2. Gouvernance et Rôles
   - Comité de pilotage (si applicable) : [Noms des membres, rôles]
   - Délégué à la Protection des Données (DPO) : [Nom, Coordonnées]
   - Responsable IA / Éthique IA (si applicable) : [Nom, Rôle]
   - Équipe(s) impliquée(s) : [Juridique, IT, R&D, Opérations]

3. Actions Clés et Calendrier

   A. Évaluation et Cartographie (RGPD & AI Act)
   - Action : Réaliser une cartographie exhaustive des traitements de données personnelles (RGPD).
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]
   - Action : Identifier et cartographier tous les systèmes d'IA utilisés ou développés.
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]
   - Action : Évaluer la classification "à haut risque" pour chaque système d'IA identifié (AI Act).
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]

   B. Documentation et Politiques
   - Action : Mettre à jour le Registre des Traitements (RGPD) et créer un Registre des Systèmes d'IA (AI Act).
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]
   - Action : Rédiger ou adapter les politiques internes (Ex : Politique de confidentialité, politique d'IA responsable).
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]
   - Action : Intégrer les exigences de l'AI Act dans les contrats avec les sous-traitants/fournisseurs d'IA.
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]

   C. Évaluation des Risques et Impact (AIPD & AIE)
   - Action : Réaliser les AIPD obligatoires pour les traitements de données à haut risque (RGPD).
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]
   - Action : Mener des Évaluations d'Impact sur les Droits Fondamentaux (AIE) pour les systèmes d'IA à haut risque (AI Act).
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]

   D. Mise en œuvre Technique et Organisationnelle
   - Action : Mettre en place des mesures de sécurité pour les données et les systèmes d'IA.
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]
   - Action : Définir des procédures de gestion des droits des personnes concernées (accès, effacement, explication IA).
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]

   E. Formation et Sensibilisation
   - Action : Former les équipes clés (DPO, IT, R&D, Juridique) sur le RGPD et l'AI Act.
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]
   - Action : Sensibiliser l'ensemble du personnel aux principes de protection des données et d'IA responsable.
     - Responsable : [Nom/Service]
     - Échéance : [Date]
     - Statut : [À faire/En cours/Terminé]

4. Suivi et Révision
   - Fréquence des revues du plan : [Mensuelle/Trimestrielle]
   - Indicateurs de succès : [Ex : % de traitements documentés, % de systèmes d'IA classifiés, Nombre d'incidents de conformité]
   - Mécanisme de remontée des alertes : [Ex : Réunions régulières, outil de gestion des risques]